Hvað .ovpn skrá raunverulega inniheldur og hvað hún getur ekki gert

Flestir gera ráð fyrir að .ovpn skrá stilli VPN. Hún gerir það ekki: hún stillir einn biðlara, og allt sem hún biður um verður að vera þegar til staðar hinum megin. Að breyta línu í skránni getur breytt því sem vélin þín reynir, aldrei því sem netþjónninn býður. Sá munur útskýrir mestan hluta ruglingsins í kringum snið sem tekst ekki að flytja inn eða tengjast.

Lestu skrána sem lista yfir beiðnir sem beint er til biðlarans þíns, og flestar línur hennar verða augljósar.

Skráin lýsir biðlaranum þínum, ekki netþjóninum

Snið sameinar remote endapunkt, flutning, tegund viðmóts, auðkennisefni og hverja þá hegðun á biðlarahlið sem rekstraraðilinn vill. Hver lína er keyrð af biðlaranum við ræsingu. Ekkert þeirra nær til netþjónsins sem stillingarbreyting, og ekkert þeirra getur búið til hlustanda sem er ekki þegar í gangi. Snið sem nefnir TCP 443 gagnvart netþjóni sem hlustar aðeins á UDP 1194 mistekst á fyrsta pakkanum.

Þess vegna hegðar sama skrá sér öðruvísi á tveimur biðlurum: skráin biður, og biðlarinn ákveður hversu miklu af beiðninni hann getur sinnt.

Flutningslínur verða að passa við hlustanda sem er þegar til

proto og remote verða að stemma við það sem netþjónninn bindur í raun. UDP er venjulegi kosturinn því glatað gagnagramm stöðvar ekki göngin, en TCP getur lifað af takmarkandi netum á kostnað þess að teppa fremst í biðröðinni inni í göngunum. Að skipta sniði úr UDP í TCP fær netþjóninn ekki til að taka við TCP; það fær biðlarann aðeins til að senda á gátt sem enginn les.

Gátt 443 er vinsæl því hún fer í gegnum net sem leyfa varla nokkuð annað, og hún helst OpenVPN lota frekar en HTTPS beiðni. Ef rekstraraðilinn birtir nokkrar remote línur reynir biðlarinn þær í röð, sem er listi fyrir víxlun við bilun en ekki ákvörðun um álagsdreifingu. Hafðu samsetningarnar sem rekstraraðilinn sendi frekar en að blanda hýsli úr einni færslu með gátt úr annarri.

Innfelldir lyklar breyta því hvernig þú meðhöndlar skrána

Skírteini og lyklar geta staðið innfelld milli <ca>, <cert> og <key> merkja, eða verið vísað í þau sem aðskildar skrár. Innfellt efni gerir sniðið sjálfstætt og gerir það líka að leyndarmáli, því einkalykill biðlarans ferðast inni í því. CA skírteini er opinbert traustsefni og er öruggt að deila; einkalykill er það ekki, jafnvel þótt hann líti út eins og ólæsilegur textabútur.

Lykilorðssetningin sem verndar lykil er sérstakt leyndarmál frá aðgangsorði reikningsins, og að blanda þeim saman framkallar auðkenningarbilun sem lítur út eins og röng skilríki.

Leiðir og DNS koma kannski alls ekki úr skránni

Hægt er að ýta leiðsögn frá netþjóninum, stilla hana í sniðinu með redirect-gateway, eða láta hana vera sjálfgefin gildi biðlarans. Skráin sem þú halaðir niður ákvarðar því ekki að fullu hvert umferðin fer eftir að göngin rísa. Þegar innri nöfn leysast en opinberar síður ekki, er stefnan um klofin göng að gera það sem hún var hönnuð fyrir, ekki að mistakast.

DNS fylgir sama mynstri: ýttri dhcp-option DNS getur biðlarinn beitt, hunsað eða staðbundinn leysistjóri yfirskrifað hana. Athugaðu stöðu leysisins eftir tengingu í stað þess að lesa sniðið aftur.

Óstuddar valkostir eru spurning um útgáfu biðlarans

Innflutningsviðvaranir þýða venjulega að biðlarinn innleiði ekki tilskipun, ekki að skráin sé skemmd. Skjáborðsbiðlarar geta keyrt skriftur og viðbætur undir skjalfestri stjórn, en farsímabiðlarar samþykkja þrengra safn og geta hljóðlega sleppt línum sem þeir skilja ekki. Dulritunar- eða TLS stilling sem eldri biðlari hafnar er útgáfuvandamál sem á að leysa með rekstraraðilanum. Að virkja óþekkt réttindi til að þvinga innflutning skiptir viðvörun fyrir breiðara árásarflöt.

Geymdu upprunalegu skrána til samanburðar, skráðu nákvæmu óstuddu tilskipunina í beiðninni þinni, og biddu um snið sem er byggt fyrir biðlarann sem þú keyrir í raun.

Eftir hverja skipti, staðfestu hvaða sniðsfærslu appið notar, því innflutningur nýrrar skrár yfirskrifar ekki alltaf þá gömlu.